ENTSCHEIDUNG DER KOMMISSION
vom 27. Dezember 2004
zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer
(Bekannt gegeben unter Aktenzeichen K(2004) 5271)
(Text von Bedeutung für den EWR)
(2004/915/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 26 Absatz 4,
in Erwägung nachstehender Gründe:
(1)
Um die Aufrechterhaltung der Datenströme aus der Gemeinschaft zu erleichtern, ist es wünschenswert, dass die für die Verarbeitung Verantwortlichen in der Gemeinschaft Daten weltweit auf der Grundlage derselben Datenschutzregeln übermitteln können. Solange es keine globalen Datenschutznormen gibt, sind Standardvertragsklauseln ein wichtiges Instrument, das die Übermittlung personenbezogener Daten aus allen Mitgliedstaaten nach denselben Regeln ermöglicht. Die Entscheidung 2001/497/EG der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (2) legt daher Standardvertragsklauseln fest, die angemessene Garantien für die Übermittlung von Daten in Drittländer bieten.
(2)
Seit Verabschiedung dieser Entscheidung wurden viele Erfahrungen gesammelt. Darüber hinaus haben mehrere Wirtschaftsverbände (3) gemeinsam alternative Standardvertragsklauseln entworfen, die ein Datenschutzniveau gewährleisten sollen, das dem Niveau der Standardvertragsklauseln in der Entscheidung 2001/497/EG vergleichbar ist, auch wenn dabei andere Instrumente eingesetzt werden.
(3)
Da die Verwendung von Standardvertragsklauseln bei internationalen Datenübermittlungen freiwillig erfolgt und nur eine Möglichkeit gemäß der Richtlinie 95/46/EG darstellt, personenbezogene Daten auf rechtlich zulässige Weise in ein Drittland zu übermitteln, sollte es Datenexporteuren in der Gemeinschaft und Datenimporteuren in Drittländern freistehen, Daten unter Verwendung eines der Standardverträge zu übermitteln oder aber sich auf eine andere Rechtsgrundlage zu stützen. Da jeder Standardvertrag in sich geschlossen ist, sollte es den Datenexporteuren allerdings nicht erlaubt werden, die Standardverträge zu ändern bzw. verschiedene Standardverträge miteinander zu kombinieren.
(4)
Die Standardvertragsklauseln der Wirtschaftsverbände sollen die Wirtschaftsteilnehmer zur intensiveren Nutzung von Vertragsklauseln veranlassen; zu diesem Zweck setzen sie auf Instrumente wie flexiblere Prüfungspflichten oder präzisere Regelung des Auskunftsrechts.
(5)
Als Alternative zur gesamtschuldnerischen Haftung gemäß der Entscheidung 2001/497/EG beinhaltet der nun vorgelegte Standardvertrag außerdem ein auf die Sorgfaltspflicht abstellendes Haftungssystem, das Datenexporteur und Datenimporteur gegenüber der betroffenen Person für die Verletzung ihrer jeweiligen Vertragspflichten haftbar macht; ebenso ist der Datenexporteur haftbar, wenn er sich nicht im Rahmen des Zumutbaren davon überzeugt, dass der Datenimporteur seine Rechtspflichten aus den Klauseln zu erfüllen in der Lage ist (Auswahlverschulden - culpa in eligendo), in welchem Fall die betroffene Person gerichtlich gegen den Datenexporteur vorgehen kann. Die Durchsetzung von Klausel I Buchstabe b) des neuen Standardvertrags ist in dieser Hinsicht besonders wichtig, vor allem im Hinblick auf das Recht des Datenexporteurs, Prüfungen in den Räumlichkeiten des Datenimporteurs durchzuführen oder Nachweise zu verlangen, dass dieser über genügend Finanzmittel verfügt, um seinen Verpflichtungen nachzukommen.
(6)
Für den Fall, dass die betroffene Person ihre Rechte als Drittbegünstigte ausübt, wird der Datenexporteur bei der Beschwerdeabhilfe stärker zur Verantwortung gezogen; der Datenexporteur ist nämlich verpflichtet, Kontakt zum Datenimporteur aufzunehmen und die Einhaltung der Vertragspflichten nötigenfalls innerhalb der Standardfrist von einem Monat durchzusetzen. Falls der Datenexporteur sich weigert, die Einhaltung der Vertragspflichten durchzusetzen, und der Datenimporteur seine Vertragspflichten weiter verletzt, kann die betroffene Person die Einhaltung der Klauseln gegenüber dem Datenimporteur erzwingen und ihn in einem Mitgliedstaat gerichtlich belangen. Die Anerkennung einer gerichtlichen Zuständigkeit und der Entscheidung des zuständigen Gerichts oder einer Kontrollstelle schmälert in keiner Weise die prozessualen Rechte des in einem Drittland ansässigen Datenimporteurs, z. B. sein Recht auf Einlegung von Rechtsmitteln.
(7)
Damit diese zusätzliche Flexibilität jedoch nicht missbraucht wird, erscheint es angebracht, dass die Datenschutzkontrollstellen auf der Grundlage des neuen Standardvertragsklauseltyps Datenübermittlungen leichter verbieten oder aussetzen können, falls sich der Datenexporteur weigert, gegenüber dem Datenimporteur geeignete Maßnahmen zur Durchsetzung der Vertragspflichten zu ergreifen, oder der Datenimporteur sich weigert, redlich mit den zuständigen Datenschutzkontrollstellen zusammenzuarbeiten.
(8)
Die aufgrund der Richtlinie 95/46/EG oder der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (4) erlassenen Vorschriften bleiben von den Standardvertragsklauseln unberührt, insbesondere was den Versand kommerzieller Kommunikation für Direktmarketingzwecke betrifft.
(9)
Auf dieser Grundlage können die Garantien, die die vorgelegten Standardvertragsklauseln beinhalten, als angemessen im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG angesehen werden.
(10)
Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die nach Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme (5) zu dem Schutzniveau abgegeben, das die vorgelegten Standardvertragsklauseln bieten; diese Stellungnahme wurde bei der Ausarbeitung dieser Entscheidung berücksichtigt.
(11)
Um die Anwendung der Änderungen an der Entscheidung 2001/497/EG bewerten zu können, sollte die Kommission diese drei Jahre, nachdem sie die Mitgliedstaaten davon in Kenntnis gesetzt hat, bewerten.
(12)
Die Entscheidung 2001/497/EG sollte entsprechend geändert werden.
(13)
Die in dieser Entscheidung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der gemäß Artikel 31 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Die Entscheidung 2001/497/EG wird wie folgt geändert:
1.
In Artikel 1 wird folgender Absatz hinzugefügt:
„Die für die Verarbeitung Verantwortlichen haben die Wahl zwischen Standardvertrag I und II im Anhang. Sie dürfen die Klauseln weder ändern noch Klauseln aus beiden Verträgen miteinander kombinieren.“
2.
Artikel 4 Absätze 2 und 3 erhalten folgende Fassung:
„(2) Für die Zwecke von Absatz 1 können die zuständigen Kontrollstellen, sofern der für die Verarbeitung Verantwortliche angemessene Garantien auf der Grundlage des Standardvertrags II im Anhang geltend macht, im Rahmen ihrer Befugnisse Datenübermittlungen verbieten oder aussetzen, wenn
a)
der Datenimporteur sich weigert, mit den Datenschutzkontrollstellen redlich zusammenzuarbeiten oder eindeutige Vertragspflichten zu erfüllen;
b)
der Datenexporteur sich weigert, binnen der Regelfrist von einem Monat nach entsprechender Aufforderung durch die zuständige Kontrollstelle geeignete Maßnahmen zur Durchsetzung der Vertragspflichten gegenüber dem Datenimporteur zu ergreifen.
Eine Weigerung des Datenimporteurs zur redlichen Zusammenarbeit oder zur Durchsetzung der Vertragspflichten im Sinne von Unterabsatz 1 besteht nicht, wenn die Zusammenarbeit oder Durchsetzung zu einer Kollision mit nationalen, für den Datenimporteur verbindlichen Rechtsvorschriften führen würde und diese Vorschriften nicht über das hinausgehen, was in einer demokratischen Gesellschaft unter Zugrundelegung der in Artikel 13 Absatz 1 der Richtlinie 95/46/EG aufgeführten Interessen erforderlich ist; hierunter fallen insbesondere die Androhung von Sanktionen nach internationalem und/oder nationalem Recht, steuerrechtliche Anzeigepflichten oder Anzeigepflichten zur Bekämpfung der Geldwäsche.
Die Pflicht zur Zusammenarbeit im Sinne von Unterabsatz 1 Buchstabe a) beinhaltet für den Datenimporteur insbesondere die Bereitschaft, seine Datenverarbeitungseinrichtungen überprüfen zu lassen oder den Empfehlungen der Datenschutzkontrollstelle in der Gemeinschaft Folge zu leisten.
(3) Das Verbot oder die Aussetzung im Sinne der Absätze 1 und 2 wird aufgehoben, sobald die Gründe für das Verbot oder die Aussetzung nicht mehr vorliegen.
(4) Wenn die Mitgliedstaaten Maßnahmen gemäß den Absätzen 1, 2 und 3 ergreifen, informieren sie unverzüglich die Kommission, die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet.“.
3.
Artikel 5 Satz 1 erhält folgende Fassung:
„Die Kommission bewertet drei Jahre, nachdem sie den Mitgliedstaaten diese Entscheidung und etwaige Änderungen an dieser Entscheidung bekannt gegeben hat, ihre Durchführung anhand der verfügbaren Informationen.“.
4.
Der Anhang wird wie folgt geändert:
1.
Nach der Überschrift wird „STANDARDVERTRAG I“ eingefügt.
2.
Der Wortlaut des Anhangs zu dieser Entscheidung wird angefügt.
Artikel 2
Diese Entscheidung gilt ab dem 1. April 2005.
Artikel 3
Diese Entscheidung ist an die Mitgliedstaaten gerichtet.
Brüssel, den 27. Dezember 2004
32004D0915
L 385/74
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 27 decembrie 2004
de modificare a Deciziei 2001/497/CE privind introducerea unui set alternativ de clauze contractuale standard pentru transferul de date cu caracter personal către țări terțe
[notificată cu numărul C(2004) 5271]
(Text cu relevanță pentru SEE)
(2004/915/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 26 alineatul (4),
întrucât:
(1)
Pentru a facilita fluxurile de date provenind din Comunitate, este de dorit ca responsabilii cu prelucrarea datelor să poată efectua transferurile de date în mod global, pe baza unui singur set de norme de protecție a datelor. În absența unor standarde universale în materie de protecție a datelor, clauzele contractuale standard furnizează un instrument important care permite transferul de date cu caracter personal provenind din toate statele membre conform unui set comun de reguli. Decizia 2001/497/CE a Comisiei din 15 iunie 2001 privind clauzele contractuale standard pentru transferul de date cu caracter personal către țări terțe în temeiul Directivei 95/46/CE (2) stabilește prin urmare un model de set de clauze contractuale standard care oferă garanții adecvate pentru transferul de date către țări terțe.
(2)
De la adoptarea deciziei menționate s-a acumulat o experiență considerabilă. În afară de aceasta, o coaliție de asociații profesionale (3) a prezentat un set alternativ de clauze contractuale standard conceput pentru a oferi un nivel de protecție a datelor echivalent celui oferit de setul de clauze contractuale standard stabilit în Decizia 2001/497/CE, dar recurgând la mecanisme diferite.
(3)
Deoarece utilizarea clauzelor contractuale standard pentru transferurile de date internaționale este voluntară întrucât clauzele contractuale standard reprezintă doar una dintre posibilitățile prevăzute de Directiva 95/46/CE pentru a transfera în mod legal date cu caracter personal către o țară terță, exportatorii de date în Comunitate și importatorii de date în țări terțe trebuie să fie liberi să aleagă unul din seturile de clauze contractuale standard sau să aleagă o altă bază juridică pentru transferul de date. Întrucât fiecare set complet constituie un model, exportatorilor de date nu trebuie să li se permită să modifice aceste seturi sau să le contopească, total sau parțial, într-o anume manieră.
(4)
Clauzele contractuale standard prezentate de asociațiile profesionale urmăresc sporirea utilizării clauzelor contractuale între agenți prin mecanisme cum sunt cerințe de audit mai flexibile și reguli mai detaliate în ce privește dreptul de acces.
(5)
Pe lângă acestea, ca alternativă la sistemul de răspundere solidară prevăzut de Decizia 2001/497/CE, setul prezentat acum conține un regim de răspundere având la bază obligații privind identificarea si analiza riscurilor asociate (de tip due diligence) în temeiul cărora exportatorul de date și importatorul de date pot fi responsabili, față de persoanele vizate, pentru încălcările lor respective ale obligațiilor contractuale pe care și le-au asumat; exportatorul de date este de asemenea răspunzător în cazul în care nu a făcut eforturile corespunzătoare pentru a se asigura că importatorul de date este în măsură să îndeplinească obligațiile juridice care îi revin în temeiul clauzelor (culpa in eligendo), iar persoana vizată poate introduce o acțiune în justiție împotriva exportatorului de date în această privință. Aplicarea clauzei I litera (b) din noul set de clauze contractuale standard are o mare importanță în această privință, în special în ceea ce privește posibilitatea ca exportatorul de date să procedeze la efectuarea de audituri la sediul importatorului de date sau să ceară acestuia să dovedească faptul că dispune de resurse financiare suficiente pentru a-și îndeplini responsabilitățile.
(6)
În ce privește exercitarea drepturilor de terț beneficiar de persoanele vizate, se prevede o implicare mai mare a exportatorului de date în rezolvarea plângerilor persoanelor respective, exportatorul de date fiind obligat să contacteze importatorul de date și, după caz, să asigure aplicarea contractului în termenul normal de o lună. În cazul în care exportatorul de date refuză să asigure aplicarea contractului și neîndeplinirea acestuia de către importatorul de date persistă, persoana vizată poate în acest caz să aplice clauzele împotriva importatorului de date și în cele din urmă să-l acționeze în justiție într-un stat membru. Această acceptare de jurisdicție și angajamentul de a se conforma deciziei pronunțate de un tribunal competent sau de o autoritate responsabilă cu protecția datelor nu afectează niciunul din drepturile procedurale ale importatorilor de date stabiliți în țări terțe, cum ar fi dreptul la recurs.
(7)
Cu toate acestea, pentru a preveni un abuz în temeiul acestei flexibilități sporite, este oportun să se prevadă că autoritățile având în sarcină protecția datelor pot cu mai mare ușurință să interzică sau să suspende transferurile de date pe baza noului set de clauze contractuale standard în acele cazuri în care exportatorul de date refuză să ia măsuri adecvate pentru a face să se aplice obligațiile contractuale împotriva importatorului de date sau în cazul în care acesta din urmă refuză să coopereze cu bună credință cu autoritățile competente de supraveghere a protecției datelor.
(8)
Utilizarea clauzelor contractuale standard se va face fără a aduce atingere aplicării dispozițiilor interne adoptate în temeiul Directivei 95/46/CE sau al Directivei 2002/58/CE a Parlamentului European și a Consiliului privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (Directiva privind viața privată și comunicațiile electronice) (4), în special în ceea ce privește transmiterea de comunicări comerciale în scopul marketingului direct.
(9)
Pe această bază, garanțiile conținute în clauzele contractuale standard prezentate pot fi considerate drept adecvate în sensul articolului 26 alineatul (2) din Directiva 95/46/CE.
(10)
Grupul de lucru pentru protecția persoanelor în privința prelucrării datelor cu caracter personal, instituit în temeiul articolului 29 din Directiva 95/46/CE, a emis un aviz (5) privind nivelul de protecție asigurat de clauzele contractuale standard prezentate, care a fost luat în considerare.
(11)
Pentru a evalua efectul amendamentelor la Decizia 2001/497/CE, este oportun ca acestea să fie evaluate de către Comisie la trei ani după ce acestea au fost notificate statelor membre.
(12)
Decizia 2001/497/CE trebuie modificată în consecință.
(13)
Măsurile prevăzute de prezenta decizie sunt în conformitate cu avizul comitetului instituit în temeiul articolului 31 din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Decizia 2001/497/CE se modifică după cum urmează:
1.
La articolul 1 se adaugă următorul paragraf:
„Responsabilii cu prelucrarea datelor pot să aleagă oricare dintre seturile I sau II din anexă. Cu toate acestea, ei nu pot să modifice clauzele, nici să combine clauzele individuale sau seturile.”
2.
La articolul 4, alineatele (2) și (3) se înlocuiesc cu următoarele texte:
„(2) În sensul alineatului (1), în cazul în care responsabilul cu prelucrarea datelor oferă garanții adecvate pe baza clauzelor contractuale standard cuprinse în setul II din anexă, autoritățile competente în materie de protecție a datelor au dreptul să-și exercite împuternicirile de care dispun pentru a interzice sau a suspenda fluxurile de date în cazurile următoare:
(a)
refuzul importatorului de date de a coopera cu bună credință cu autoritățile în materie de protecție a datelor sau de a se conforma obligațiilor lor clar enunțate în contract;
(b)
refuzul exportatorului de date de a lua măsuri adecvate pentru a face să se aplice contractul împotriva importatorului de date în termenul normal de o lună de la primirea notificării din partea autorității în materie de protecție a datelor.
În sensul primului paragraf, refuzul cu rea credință sau refuzul de a aplica contractul de către importatorul de date nu include cazurile în care cooperarea sau aplicarea ar veni în conflict cu cerințele obligatorii din legislația internă, aplicabile importatorului de date, care nu depășesc ceea ce este necesar într-o societate democratică pe baza unuia din interesele enunțate la articolul 13 alineatul (1) din Directiva 95/46/CE, în special sancțiunile prevăzute în actele internaționale și/sau interne, obligațiile de declarație fiscală sau obligațiile de declarație în cadrul luptei contra spălării banilor.
În sensul dispozițiilor de la litera (a) din primul paragraf, cooperarea poate include, în special, prezentarea pentru verificare a mijloacelor de prelucrare a datelor deținute de importatorul de date sau obligația de a se conforma recomandării făcute de autoritatea de supraveghere în materie de protecție a datelor din Comunitate.
(3) Interdicția sau suspendarea prevăzute la alineatele (1) și (2) se ridică de îndată ce motivele pentru impunerea lor au încetat să mai existe.
(4) Atunci când statele membre adoptă măsuri în conformitate cu alineatele (1), (2) și (3), ele informează fără întârziere Comisia, care va transmite informațiile celorlalte state membre.”.
3.
La articolul 5, prima teză se înlocuiește cu următorul text:
„Comisia evaluează efectul acestei decizii pe baza informațiilor disponibile după scurgerea a trei ani de la notificarea acesteia statelor membre, precum și după notificarea oricărei modificări aduse acesteia.”.
4.
Anexa se modifică după cum urmează:
1.
după titlu, se inserează „SETUL I”;
2.
se adaugă textul conținut în anexa la prezenta decizie.
Articolul 2
Prezenta decizie se aplică de la 1 aprilie 2005.
Articolul 3
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 27 decembrie 2004.